Group Policy: Verarbeitung, Scoping und Fit
Einführung · 7 Abschnitte · ~7 Min Lesezeit · Stand
Verarbeitungsreihenfolge: L → S → D → OU
Ein Client zieht bei Anmeldung/Start nicht eine einzelne GPO, sondern alle verknüpften GPOs — und wendet sie in einer festen Reihenfolge an: Local → Site → Domain → OU (Merkwort LSDOU). Innerhalb einer Ebene mit mehreren Links entscheidet die Link-Order (niedrigste Nummer zuletzt/oben).
Der Kern ist ein simples Prinzip: Zuletzt angewandt gewinnt. OUs werden zuletzt und von oben nach unten durchlaufen, also setzt sich bei einem Konflikt die nächstgelegene OU durch — die dem Objekt am nächsten verknüpfte GPO überschreibt weiter oben gesetzte Werte.
Vererbung: Block Inheritance vs. Enforced
Zwei Schalter greifen in die LSDOU-Präzedenz ein — und ihr Zusammenspiel wird oft falsch erinnert:
| **Block Inheritance** | auf einer OU gesetzt: blockt alle von oben (Site/Domain/übergeordnete OU) geerbten GPOs für diese OU und darunter. Ein Werkzeug der OU, die sich abschottet. |
|---|---|
| **Enforced** | auf einem GPO-Link gesetzt: erzwingt diese GPO nach unten. Sie durchdringt jedes Block Inheritance und gewinnt zusätzlich gegen konfliktäre Einstellungen näherliegender GPOs — sie kehrt die normale Präzedenz um. |
Security-Filtering: Apply UND Read — im Computer-Kontext
Eine GPO gilt zunächst für Authenticated Users. Mit Security-Filtering schränkst du das auf eine Security-Gruppe ein: das Ziel braucht dann zwei ACL-Rechte auf der GPO — `Read` UND `Apply group policy`. Fehlt eines, wird die GPO nicht wirksam.
Der Fallstrick: GPOs werden im Sicherheitskontext des Computerkontos abgerufen — auch benutzerbezogene GPOs. Filterst du nur auf eine Benutzer-Gruppe und entfernst Authenticated Users komplett, kann das Computerkonto die GPO nicht mehr lesen — und sie wird still nicht angewandt.
Loopback: Benutzereinstellungen nach dem Rechner
Normalerweise kommen Benutzereinstellungen aus den GPOs der User-OU — egal, an welchem Rechner sich jemand anmeldet. Auf geteilten Maschinen (Terminalserver/RDS, Kioske, Konferenzräume) willst du das oft umkehren: die Benutzererfahrung soll sich nach dem Computer richten, nicht nach der Person.
Genau das leistet Loopback-Verarbeitung — eine Computer-Einstellung. Sie wertet die Benutzerseite der GPOs aus, die an der Computer-OU hängen. Zwei Modi:
| **Replace** | die normalen User-GPOs werden ignoriert; nur die Benutzereinstellungen der Computer-OU gelten. Für streng standardisierte Kiosk-/RDS-Umgebungen. |
|---|---|
| **Merge** | erst die normalen User-GPOs, dann die der Computer-OU obendrauf — letztere gewinnen bei Konflikten. Für „normale Einstellungen plus rechnerspezifische Overrides“. |
Policy vs. Preference vs. externes Config-Management
Group Policy hat zwei Hälften mit unterschiedlichem Verhalten — plus eine Grenze, ab der ein anderes Werkzeug passt:
| **Policy (Administrative Templates)** | erzwungen und nicht vom Nutzer änderbar; bei jedem Refresh neu durchgesetzt, driftet also nicht. Wird die GPO entfernt, verschwindet die Einstellung wieder. Für Sicherheits- und Compliance-Vorgaben. |
|---|---|
| **Preference (GPP)** | setzt einen Ausgangswert, den der Nutzer danach ändern darf (z. B. Laufwerks-/Druckerzuordnung, Verknüpfungen, Registry-Defaults). Optionen wie „apply once“ oder Item-Level-Targeting. Für Komfort-Defaults, nicht für Erzwingung. |
| **Externes Config-Mgmt / DSC** | idempotenter, versionierter Desired State für komplexe Serverkonfiguration. Wenn GPP-Logik zum Skript-Wildwuchs wird, ist die Grenze erreicht. |
Performance: die Anmeldung nicht zubauen
Jede angewandte GPO kostet Verarbeitungszeit bei Anmeldung und Start. Zwei Dinge treiben langsame Logons besonders: zu viele GPOs (jede wird gelesen und ausgewertet) und WMI-Filter.
Ein WMI-Filter ist eine Abfrage, die pro GPO bei jedem Verarbeitungszyklus neu ausgewertet wird — noch bevor feststeht, ob die GPO überhaupt gilt. Teure oder viele WMI-Abfragen summieren sich zu spürbarer Verzögerung.
Zusammenfassung — gleich im Check
Du kennst jetzt die Achsen: LSDOU-Präzedenz (nächste OU gewinnt), Enforced vs. Block Inheritance, Security-Filtering (Apply + Read, Computer-Kontext), Loopback (merge/replace), Policy vs. Preference vs. Config-Mgmt und GPO-Performance.